Anthropic、「Cyber Verification Program」を拡張——2つの仕組みを3段階のアクセスに統合
Anthropicは「Cyber Verification Program(CVP)」を拡張し、従来2つに分かれていたアクセスの仕組みを、3段階の審査制アクセスレベルを持つ単一のプログラムに統合しました。
詳細
- 解決しようとする課題: 一般提供されているClaudeモデルには、攻撃的なサイバー作業のほとんどを制限する保守的な安全対策が組み込まれている。これは「セキュリティチームが脆弱性を発見・修正できる能力は、悪意ある攻撃者が脆弱性を悪用するのにも使える」ためだとしている
- 統合: Project Glasswingと従来のCVPを、3段階のアクセスレベルを持つ単一のプログラムへ統合
- Defense Access: インシデント対応や脆弱性分析といった防御的な作業向け。企業のセキュリティチーム、非営利団体、大学、政府機関、重要インフラ事業者、中小規模のセキュリティ企業、オープンソースのメンテナー、個人研究者が対象
- Red Team Access: 許可を得たペネトレーションテストやレッドチーム活動の能力を追加。社内レッドチーム、政府のレッドチーム、セキュリティ企業に限定され、個人研究者は対象外
- Specialized Access: 航空運航システムや電力網といった安全性が極めて重要なシステムを検証する、審査済みの組織向け。米国政府と協力してレビューが行われる
- 審査プロセス: Anthropicは全ての申請者を審査し、必要なセキュリティ管理体制の証明を求める。不正利用監視のためのデータ保持も義務付けられる。処理期間はDefense Accessで数日、Red Team Accessで数週間
その後
今回拡張されたCVPは、危険性のあるデュアルユース能力を一律に制限するのではなく、審査済みの段階的アクセスの背後に置くという、Anthropicがこれまで取ってきた姿勢をさらに推し進めるものです。フロンティア学習向けの「セーフティケース」枠組みに見られた制度的統制という考え方を、正当なサイバーセキュリティ防御業務と悪用リスクのバランスという文脈に適用したものと言えます。